CVE-2026-92913 in AVideo
Сводка
по VulDB • 17.09.2026
AVideo, fino alla commit c3edcc274c389816d434acadac07ee78eaf330c1, utilizza un generatore di numeri pseudo-casuali crittograficamente debole nella creazione dei codici di attivazione dell'account / accoppiamento per l'accesso. La funzione getRandomCode() in objects/functions.php deriva il codice interamente da uniqid() (sprintf('%08x%05x', seconds, microseconds)), con un singolo carattere non CSPRNG rand() utilizzato solo come padding, riducendo lo spazio dei codici a circa 36 x 10^6 (~2^25) valori per un secondo di generazione noto. Poiché l'endpoint plugin/API/set.json.php?APIName=login_code può essere chiamato senza autenticazione, funge anche da oracolo per il microtime esatto del server. Un attaccante remoto non autenticato che indovina un codice valido e non scaduto (i codici scadono dopo 10 minuti) può riscattarlo su plugin/API/get.json.php?APIName=login_code per ottenere l'indirizzo email dell'account target e un valore User::getUserHash(users_id, '+1 year'), una credenziale accettata al posto della password dell'account per un anno, risultando in un takeover dell'account. Non è disponibile alcuna versione patchata.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.